Mantener una buena ciberseguridad implica protegerse contra múltiples tipos de ataques. Uno de estos tipos se denomina "ataque de degradación". Esta forma de ataque criptográfico también se conoce como "ataque de reversión de versión" o "ataque bidding down". En un ataque de degradación, un ciberdelincuente obliga al sistema objetivo a cambiar a un modo de operación menos seguro y de baja calidad.

Los ataques de degradación pueden adoptar distintas formas. A continuación, explicaremos las formas más comunes de los ataques de degradación: la forma que pueden adoptar estos ataques, qué funciones cumplen y cómo funcionan. Afortunadamente, los ataques de degradación son muy conocidos y están bien documentados actualmente, por lo que no es necesario innovar para proteger a tu empresa contra ellos.

¿Qué son los ataques de degradación?

El mundo de la ciberseguridad es amplio y variado, pero no todos los ciberataques emplean las técnicas y los exploits más recientes. Los ataques de degradación aprovechan la compatibilidad con versiones anteriores de un sistema para forzarlo a utilizar modos de funcionamiento menos seguros. Debido a que pueden usar conexiones cifradas o no cifradas, los sistemas como STARTTLS, que emplean cifrado oportunista, corren el mayor riesgo de sufrir ataques de degradación.

En un ataque de degradación de HTTPS, los visitantes de tu sitio web pueden verse obligados a utilizar conexiones HTTP en lugar de HTTPS. Un ataque de degradación puede ser una pequeña parte de una operación maliciosa más grande, como fue el caso en 2015 cuando se desarrolló el ataque Logjam. Un ataque de degradación de TLS como Logjam permite a un ciberdelincuente intermediario degradar las conexiones de seguridad de la capa de transporte (TLS) a criptografía de 512 bits, lo que permite al ciberdelincuente leer todos los datos que pasan a través de esta conexión insegura. Ofreceremos más información sobre Logjam y otros tipos de ataques de degradación en la siguiente sección.

En general, cualquier sistema que emplee cualquier forma de compatibilidad con versiones anteriores puede ser susceptible a un ataque de degradación. El equilibrio entre máxima utilidad y máxima seguridad es difícil de lograr: por más tentador que sea obligar a tus visitantes a mantener sus sistemas actualizados, querrás que las personas puedan acceder a tu servidor usando tecnología más antigua.

Tipos de ataques de degradación

Los ataques de degradación pueden adoptar muchas formas, pero todos tienen algunos elementos en común. La mayoría de ellos son ataques de intermediario (también llamados ataques MITM). En estos ataques, los actores maliciosos se colocan entre tus usuarios y tu red.

Algunos de los ataques de degradación más conocidos son:

• POODLE: el ataque de relleno de Oracle en cifrado heredado degradado se inserta en las sesiones de comunicaciones, obligando a ciertos navegadores web a degradar a la capa de sockets seguros (SSL) 3.0 cuando TLS no está disponible.
• FREAK: similar a POODLE, la vulnerabilidad de factorización de claves de exportación RSA obliga a los clientes a utilizar un cifrado débil, obteniendo acceso al tráfico de datos que luego se puede descifrar fácilmente.
• Logjam: un exploit Logjam combina vulnerabilidades en RSA con un fallo en el protocolo TLS. En los ataques de degradación Logjam, el mensaje que envía un servidor para el intercambio de claves se reemplaza por una variante más débil.
• BEAST: el exploit de navegador contra el protocolo SSL/TLS utiliza un modo de cifrado en cadena de bloques, combinando un ataque MITM con un ataque de límite elegido y división de registros. Este ataque puede permitir al ciberdelincuente descifrar sesiones cliente-servidor HTTPS e incluso obtener tokens de autenticación en productos SSL y TLS más antiguos.
• SLOTH: también conocidos como pérdidas de seguridad a causa de hashes de transcripciones obsoletos y truncados, los ataques SLOTH permiten que un intermediario obligue a los navegadores web a confiar en algoritmos de hash antiguos y débiles.

Riesgos de los ataques de degradación

Como el espectro de los ataques de degradación es tan amplio, puede resultar difícil cuantificar sus riesgos. Un ataque de degradación que utiliza una versión inferior del protocolo de transferencia de correo simple puede causar un nivel de daño muy diferente al de uno que emplea un ataque criptográfico. Sin embargo, en todos los casos, ser vulnerable a un ataque de degradación también hace que tu servidor sea más vulnerable a una serie más grande de ciberataques.

Piensa en un ataque de degradación como si fuera una ganzúa: si bien usar una en el sistema de otra persona es un delito en sí mismo, el verdadero peligro es lo que un ciberdelincuente puede hacer con el acceso que obtiene. Un ataque de degradación puede dejar vulnerables todos los datos de tu empresa, desde las credenciales de tu cuenta de usuario y la información de pago hasta tus datos médicos personales.

Ante cada posible ataque de degradación, considera qué información corre mayor riesgo. Un sistema que fuerza una degradación de Kerberos a NTLM, por ejemplo, es vulnerable a muchos tipos de ataques de fuerza bruta y Pass-the-Hash. Pregúntate a qué información pueden acceder los hackers y bloquea las vías de acceso a esos datos.

Cuanto más antiguos sean los protocolos que admites, más efectivo puede ser un ataque de degradación. En un mundo ideal, nadie tendría que admitir versiones anteriores de TLS, por ejemplo. En la práctica, sin embargo, muchas redes aún tienen que admitir estas versiones. Las empresas pueden minimizar su nivel de riesgo permitiendo la compatibilidad con versiones anteriores solo en situaciones específicas y exigiendo el cumplimiento de versiones modernas y concretas de TLS siempre que sea posible.

Cómo protegerse de los ataques de degradación

Las cuentas y los servidores más seguros son aquellos que consideran los ataques de degradación y se protegen proactivamente. En este caso, es más importante prevenir que curar: mantén tu configuración de TLS lo más actualizada posible y elimina la compatibilidad innecesaria con versiones anteriores. Si necesitas admitir versiones anteriores del protocolo, siempre debes implementar TLS_FALLBACK_SCSV como medida de protección.

TLS 1.3 incluye mecanismos proactivos de protección contra degradaciones, lo que garantiza que todos los participantes en un protocolo de enlace utilicen los protocolos de seguridad más actualizados, incluso si hay un intermediario monitorizando las transmisiones. Otras prácticas recomendadas para prevenir ataques de degradación son:

• No usar un lenguaje que asegure a los usuarios una conexión segura a menos que se requiera que dicha conexión esté en una sesión HTTPS validada.
• Priorizar el uso de protocolos web como HTTP/2, que emplean solo TLS, sin brindar a los visitantes la posibilidad de cambiar a una versión inferior.
• Sobre todo, servir tanto tráfico como sea posible mediante TLS, incluso cuando dicho tráfico no sea confidencial. Implementar TLS como tu método de conexión predeterminado evita que la gran mayoría de los ataques de degradación se produzcan, sin importar lo demás que hagas.

Una vez que hayas implementado estas prácticas recomendadas, puedes centrarte en crear una infraestructura que detecte y mitigue los intentos de ataques de degradación a medida que ocurren. Mantén actualizada la versión de TLS que utilices, incluso si actualizarla implica invertir mucho tiempo y esfuerzo. Una vez que hagas eso, deberías poder rastrear fácilmente el tráfico menos seguro en tus servidores. A su vez, esto te permite detectar cambios en el tráfico y a los intermediarios antes de que puedan causar daños graves a tus servidores, tu reputación y tu empresa en general.

Solución de prevención de ciberataques de CrowdStrike

Los ataques de degradación pueden parecer simples de forma aislada. No obstante, los ciberdelincuentes astutos pueden usarlos como una herramienta de un arsenal mucho mayor, lo que hace que la protección contra estos ataques sea un elemento crítico de las operaciones de ciberseguridad de cualquier empresa. Si no tienes claro por dónde empezar en lo que respecta a prevenir un ataque de degradación, consulta con un equipo de expertos en ciberseguridad para descubrir qué funciona adecuadamente y qué elementos de tus operaciones puedes mejorar.

El equipo de expertos de CrowdStrike supervisa e investiga proactivamente la actividad en tu entorno para asesorarte y garantizar que no se pasan por alto las ciberamenazas. Para obtener más información sobre la plataforma CrowdStrike Falcon®, ponte en contacto con nuestra organización para programar una demo o inscribirte en una prueba.